보안모델과 위험관리 기초

5장 1절: 암호학 기초
5장 2절: 대칭키·공개키 암호
5장 3절: 해시·전자서명·PKI
5장 4절: 접근통제와 인증
5장 5절: 보안모델과 위험관리 기초

보안모델 = 보안 원칙을 이론적으로 설명하는 모델
위험관리 = 실제 조직에서 위험을 식별·분석·처리하는 과정

Bell-LaPadula 모델과 Biba 모델의 차이를 설명하시오.
Clark-Wilson 모델의 특징을 설명하시오.
위협, 취약점, 위험의 차이를 설명하시오.
정성적 위험분석과 정량적 위험분석의 차이를 설명하시오.
위험 처리 방법 4가지를 설명하시오.

보안모델은 보안의 원칙을 설명한다.
위험관리는 실제 조직의 위험을 줄이는 절차이다.

보안모델은 “무엇을 지켜야 하는가?”를 이론적으로 설명하고,
위험관리는 “어떤 위험이 있고 어떻게 처리할 것인가?”를 실무적으로 다룬다.

Bell-LaPadula
Biba
Clark-Wilson
Chinese Wall
자산
위협
취약점
위험
위험분석
정성적 분석
정량적 분석
위험 감소
위험 회피
위험 전가
위험 수용
잔여위험

보안모델은 정보시스템에서 기밀성, 무결성, 접근통제 등 보안 목표를 달성하기 위해 주체와 객체 간 접근 규칙을 체계적으로 정의한 모델이다.

보안모델 = 누가 어떤 정보에 접근할 수 있는지 이론적으로 정리한 보안 규칙

Bell-LaPadula 모델은 군사 보안 환경에서 기밀성을 보호하기 위해 주체와 객체의 보안등급에 따라 읽기와 쓰기 권한을 통제하는 모델이다.

Bell-LaPadula = 기밀성 모델

1급 비밀 > 2급 비밀 > 대외비 > 일반

No Read Up
No Write Down

일반 등급 사용자가 1급 비밀 문서를 읽을 수 없음

1급 비밀 사용자가 일반 등급 문서에 비밀 정보를 기록할 수 없음

Bell-LaPadula 모델은 기밀성 보호를 위해 낮은 등급의 주체가 높은 등급 객체를 읽지 못하게 하는 No Read Up과, 높은 등급의 주체가 낮은 등급 객체에 쓰지 못하게 하는 No Write Down 규칙을 사용한다.

Bell-LaPadula = 기밀성
기밀성 = 높은 정보가 낮은 곳으로 새면 안 됨
No Read Up = 위를 읽지 마라
No Write Down = 아래로 쓰지 마라

Biba 모델은 데이터의 무결성을 보호하기 위해 낮은 무결성 수준의 정보가 높은 무결성 수준의 객체나 주체에 영향을 주지 못하도록 통제하는 모델이다.

Biba = 무결성 모델

No Read Down
No Write Up

검증된 회계 시스템이 검증되지 않은 외부 데이터를 그대로 읽으면 위험

일반 사용자가 회계 원장에 직접 쓰기 불가

Biba 모델은 무결성 보호를 위해 높은 무결성 주체가 낮은 무결성 객체를 읽지 못하게 하는 No Read Down과, 낮은 무결성 주체가 높은 무결성 객체에 쓰지 못하게 하는 No Write Up 규칙을 사용한다.

Biba = 무결성
무결성 = 낮은 품질 정보가 높은 품질 데이터를 오염시키면 안 됨
No Read Down = 아래를 읽지 마라
No Write Up = 위로 쓰지 마라

Bell-LaPadula 모델은 기밀성 보호를 목적으로 하며, 낮은 등급 주체가 높은 등급 객체를 읽지 못하게 하는 No Read Up과 높은 등급 주체가 낮은 등급 객체에 쓰지 못하게 하는 No Write Down 규칙을 사용한다. Biba 모델은 무결성 보호를 목적으로 하며, 높은 무결성 주체가 낮은 무결성 객체를 읽지 못하게 하는 No Read Down과 낮은 무결성 주체가 높은 무결성 객체에 쓰지 못하게 하는 No Write Up 규칙을 사용한다.

Clark-Wilson 모델은 상업적 시스템에서 데이터 무결성을 보장하기 위해 잘 형성된 트랜잭션, 직무분리, 감사 기능을 강조하는 보안모델이다.

Clark-Wilson = 상업 시스템의 무결성 모델

사용자가 DB의 회계 금액을 직접 수정

사용자는 승인된 회계 프로그램을 통해서만 거래 입력
거래는 정해진 절차를 거침
승인자와 입력자가 분리됨
모든 변경 이력이 로그로 기록됨

Clark-Wilson 모델은 상업적 시스템의 무결성을 보장하기 위한 모델로, 사용자가 데이터를 직접 수정하지 않고 승인된 프로그램과 잘 형성된 트랜잭션을 통해서만 데이터를 변경하도록 한다. 또한 직무분리와 감사 기능을 통해 부정행위와 오류를 방지한다.

Chinese Wall 모델은 사용자의 과거 접근 이력에 따라 이해상충이 발생할 수 있는 정보에 대한 접근을 제한하는 접근통제 모델이다.

Chinese Wall = 이해상충 방지 모델

A은행 정보 접근

A은행 정보를 본 사람은 B은행 정보 접근 제한

Chinese Wall 모델은 사용자의 과거 접근 이력을 기준으로 이해상충이 발생할 수 있는 정보에 대한 접근을 제한하는 모델이다. 예를 들어 한 사용자가 특정 기업의 민감정보에 접근한 후에는 경쟁 기업의 민감정보에 접근하지 못하도록 하여 이해상충과 정보 유출을 방지한다.

Bell-LaPadula = 기밀성
Biba = 무결성
Clark-Wilson = 상업적 무결성, 직무분리
Chinese Wall = 이해상충 방지

무엇을 보호할 것인가?
어떤 위협이 있는가?
어떤 취약점이 있는가?
피해 가능성과 영향은 어느 정도인가?
어떤 대책을 적용할 것인가?
대책 적용 후에도 남는 위험은 수용 가능한가?

위험관리는 조직의 자산에 대한 위협과 취약점을 식별하고, 위험을 분석·평가하여 적절한 보호대책을 수립·적용하고 잔여위험을 관리하는 과정이다.

위험관리 = 무엇이 위험한지 파악하고 줄이는 과정

자산 식별
→ 위협 식별
→ 취약점 식별
→ 위험 분석
→ 위험 평가
→ 위험 처리
→ 잔여위험 관리
→ 모니터링과 재평가

자산은 조직에 가치가 있어 보호가 필요한 정보, 시스템, 서비스, 인력, 시설, 소프트웨어, 데이터 등을 의미한다.

보호할 자산을 모르면 위험도 평가할 수 없다.

위협은 자산에 손상, 유출, 변조, 중단 등 피해를 발생시킬 수 있는 잠재적 원인이나 사건이다.

위협 = 피해를 줄 수 있는 원인

취약점은 위협이 자산에 피해를 주기 위해 악용할 수 있는 기술적, 관리적, 물리적 약점이다.

취약점 = 공격당할 수 있는 약점

위험은 위협이 취약점을 악용하여 자산에 손실이나 피해를 발생시킬 가능성과 그 영향을 의미한다.

위험 = 피해가 발생할 가능성

해커가           → 위협
미패치 서버를    → 취약점
공격해 개인정보가 유출될 가능성 → 위험

자산 = 지켜야 할 것
위협 = 피해 원인
취약점 = 약점
위험 = 피해 가능성
보호대책 = 위험을 줄이는 조치
잔여위험 = 대책 후에도 남는 위험

1. 자산 식별
2. 자산 가치 평가
3. 위협 식별
4. 취약점 식별
5. 기존 보호대책 확인
6. 위험 분석
7. 위험 평가
8. 위험 처리
9. 잔여위험 승인
10. 지속적 모니터링

위험관리는 자산을 식별하고 자산 가치를 평가한 뒤, 해당 자산에 대한 위협과 취약점을 식별하여 위험을 분석·평가하는 과정이다. 이후 위험 감소, 회피, 전가, 수용 중 적절한 처리 방법을 선택하고, 보호대책 적용 후 남는 잔여위험을 관리하며 지속적으로 모니터링해야 한다.

가능성
영향도

위험 = 가능성 × 영향도

정성적 위험분석은 위험의 가능성과 영향을 높음, 중간, 낮음 등의 등급이나 점수로 평가하는 분석 방법이다.

정성적 위험분석은 위험의 가능성과 영향을 높음, 중간, 낮음 등 등급으로 평가하는 방식이다. 수행이 쉽고 빠르며 정량 데이터가 부족해도 가능하지만, 평가자의 주관이 개입될 수 있고 정확한 금전적 손실 산정은 어렵다.

정량적 위험분석은 자산 가치, 손실률, 발생빈도 등을 수치화하여 예상 손실액을 계산하는 분석 방법이다.

AV
EF
SLE
ARO
ALE

AV = 자산 가치

고객 DB 가치 = 1억 원

EF = 사고 발생 시 자산 가치 중 손실되는 비율

자산 가치 1억 원 중 30% 손실 예상
EF = 0.3

SLE = AV × EF

AV = 100,000,000원
EF = 0.3
SLE = 30,000,000원

ARO = 1년에 몇 번 발생할 것으로 예상되는가

1년에 2회 발생 예상
ARO = 2

5년에 1회 발생 예상
ARO = 0.2

ALE = SLE × ARO

SLE = 30,000,000원
ARO = 2
ALE = 60,000,000원

자산 가치 AV = 2억 원
사고 발생 시 손실률 EF = 40%
연간 발생률 ARO = 0.5

SLE = AV × EF
SLE = 200,000,000 × 0.4
SLE = 80,000,000원

ALE = SLE × ARO
ALE = 80,000,000 × 0.5
ALE = 40,000,000원

사고 1회 발생 시 8천만 원 손실 예상
연간 손실 예상액은 4천만 원

정성적 위험분석은 위험의 가능성과 영향을 높음, 중간, 낮음 등 등급으로 평가하는 방식으로 수행이 쉽지만 주관성이 개입될 수 있다. 정량적 위험분석은 자산 가치, 손실률, 발생빈도 등을 수치화하여 SLE와 ALE 같은 예상 손실액을 계산하는 방식으로 경제적 판단에 유용하지만 정확한 데이터 수집이 어렵다.

위험 수용기준 = 이 정도 위험은 받아들일 수 있는가?

위험 감소
위험 회피
위험 전가
위험 수용

위험 감소는 보안대책을 적용하여 위험 발생 가능성이나 영향을 낮추는 처리 방법이다.

위험 감소 = 보안대책을 적용해 위험을 줄임

위험 회피는 위험이 발생할 수 있는 활동이나 서비스를 중단하여 해당 위험을 제거하는 처리 방법이다.

취약한 외부 공개 서비스를 폐쇄
보안성이 낮은 기능 출시 중단
위험한 사업 영역 철수
민감정보 수집 기능 제거

위험 회피 = 위험한 일을 아예 하지 않음

위험 전가는 보험 가입, 외주 계약, 클라우드 서비스 이용 등을 통해 위험에 따른 손실이나 책임 일부를 제3자에게 이전하는 처리 방법이다.

사이버 보험 가입
보안관제 외주
클라우드 서비스 이용
결제대행사 사용
계약으로 손해배상 책임 분담

위험 전가는 책임이나 비용을 일부 이전하는 것이지, 위험 자체가 완전히 사라지는 것은 아니다.

위험 수용은 위험 수준이 조직의 허용 기준 이내이거나 대책 비용이 기대 손실보다 클 때, 해당 위험을 받아들이는 처리 방법이다.

발생 가능성이 낮고 영향도 작은 위험
대책 비용이 손실 예상액보다 큰 위험
사업상 감수해야 하는 위험

위험 수용 = 위험을 알고 승인함
위험 무시 = 위험을 모르거나 방치함

위험 처리 방법에는 위험 감소, 회피, 전가, 수용이 있다. 위험 감소는 보안대책을 적용해 가능성이나 영향을 줄이는 것이고, 위험 회피는 위험한 활동을 중단하는 것이며, 위험 전가는 보험이나 외주 계약 등을 통해 손실 부담을 이전하는 것이다. 위험 수용은 위험이 허용 수준 이내라고 판단하여 책임자의 승인 하에 받아들이는 방식이다.

잔여위험은 보호대책을 적용한 후에도 완전히 제거되지 않고 남아 있는 위험이다.

피싱으로 OTP까지 탈취될 가능성
관리자 실수 가능성
신규 취약점 가능성

보호대책을 적용해도 모든 위험을 제거할 수 없으므로 잔여위험을 평가하고, 조직의 위험 수용기준에 따라 경영진 또는 책임자의 승인을 받아 관리해야 한다.

보호대책은 관리적, 기술적, 물리적 대책으로 구분할 수 있으며, 기능에 따라 예방, 탐지, 교정 통제로 나눌 수 있다. 예를 들어 보안정책과 교육은 관리적 대책, 암호화와 방화벽은 기술적 대책, 출입통제와 CCTV는 물리적 대책이다.

연간 예상 손실 ALE = 100만 원
보안대책 비용 = 5,000만 원

연간 예상 손실 ALE = 1억 원
보안대책 비용 = 1,000만 원

위험관리에서는 보호대책의 비용이 기대 손실 감소 효과보다 과도하지 않은지 비용·효과를 고려해야 한다.

자산: 고객 개인정보 DB
위협: 해커, 내부자, 악성코드
취약점: SQL Injection, 과도한 DB 권한, 로그 미점검
위험: 개인정보 유출 가능성
보호대책: Prepared Statement, DB 권한 최소화, 암호화, 접근통제, WAF, 로그 모니터링
잔여위험: 제로데이 취약점, 내부자 오남용 가능성
위험 처리: 위험 감소 + 일부 잔여위험 수용

자산: 결제 서비스
위협: DDoS 공격
취약점: DDoS 방어체계 미흡
위험: 서비스 중단과 매출 손실
보호대책: DDoS 방어센터, CDN, Rate Limiting, 모니터링
위험 처리: 위험 감소 + 일부 전가

자산 식별
위협 식별
취약점 식별
위험 설명
보호대책 제시
잔여위험 관리

Bell-LaPadula 모델은 기밀성 보호를 목적으로 하며, 낮은 등급 주체가 높은 등급 객체를 읽지 못하게 하는 No Read Up과 높은 등급 주체가 낮은 등급 객체에 쓰지 못하게 하는 No Write Down 규칙을 사용한다. Biba 모델은 무결성 보호를 목적으로 하며, 높은 무결성 주체가 낮은 무결성 객체를 읽지 못하게 하는 No Read Down과 낮은 무결성 주체가 높은 무결성 객체에 쓰지 못하게 하는 No Write Up 규칙을 사용한다.

Clark-Wilson 모델은 상업적 시스템의 무결성을 보장하기 위한 모델로, 사용자가 데이터를 직접 수정하지 않고 승인된 프로그램과 잘 형성된 트랜잭션을 통해서만 데이터를 변경하도록 한다. 또한 직무분리와 감사 기능을 통해 부정행위와 오류를 방지한다.

위협은 자산에 피해를 줄 수 있는 원인이나 사건이고, 취약점은 위협이 악용할 수 있는 약점이다. 위험은 위협이 취약점을 이용하여 자산에 손실이나 피해를 발생시킬 가능성과 영향을 의미한다.

정성적 위험분석은 위험의 가능성과 영향을 높음, 중간, 낮음 등 등급으로 평가하는 방식으로 수행이 쉽지만 주관성이 개입될 수 있다. 정량적 위험분석은 자산 가치, 손실률, 발생빈도 등을 수치화하여 SLE와 ALE 같은 예상 손실액을 계산하는 방식으로 경제적 판단에 유용하지만 정확한 데이터 수집이 어렵다.

위험 처리 방법에는 위험 감소, 회피, 전가, 수용이 있다. 위험 감소는 보안대책을 적용해 위험 가능성이나 영향을 낮추는 것이고, 위험 회피는 위험한 활동을 중단하는 것이며, 위험 전가는 보험이나 외주 계약 등을 통해 손실 부담 일부를 이전하는 것이다. 위험 수용은 위험이 허용 수준 이내라고 판단하여 책임자의 승인 하에 받아들이는 방식이다.

잔여위험은 보호대책을 적용한 후에도 완전히 제거되지 않고 남아 있는 위험이다. 모든 위험을 제거하는 것은 현실적으로 어렵기 때문에 잔여위험을 평가하고, 조직의 위험 수용기준에 따라 책임자나 경영진의 승인을 받아 지속적으로 모니터링해야 한다.

Bell-LaPadula 모델은 기밀성 보호를 목적으로 하며 No Read Up과 No Write Down 규칙을 사용한다.

Biba 모델은 무결성 보호를 목적으로 하며 No Read Down과 No Write Up 규칙을 사용한다.

Clark-Wilson 모델은 상업적 시스템의 무결성을 보장하기 위해 잘 형성된 트랜잭션, 직무분리, 감사 기능을 강조한다.

Chinese Wall 모델은 사용자의 과거 접근 이력을 기준으로 이해상충이 발생할 수 있는 정보에 대한 접근을 제한한다.

자산은 보호해야 할 가치 있는 대상이고, 위협은 피해를 줄 수 있는 원인이며, 취약점은 위협에 악용될 수 있는 약점이다.

위험은 위협이 취약점을 악용하여 자산에 피해를 발생시킬 가능성과 영향을 의미한다.

위험관리는 자산, 위협, 취약점을 식별하고 위험을 분석·평가한 후 적절한 처리 방법을 선택하고 잔여위험을 관리하는 과정이다.

정성적 위험분석은 위험을 높음, 중간, 낮음 등 등급으로 평가하고, 정량적 위험분석은 자산 가치, 손실률, 발생빈도 등을 수치화하여 예상 손실액을 계산한다.

SLE는 AV와 EF를 곱한 단일 손실 예상액이고, ALE는 SLE와 ARO를 곱한 연간 손실 예상액이다.

위험 처리 방법에는 위험 감소, 위험 회피, 위험 전가, 위험 수용이 있다.

잔여위험은 보호대책 적용 후에도 남아 있는 위험이며, 조직의 위험 수용기준에 따라 승인과 모니터링이 필요하다.

보호대책은 관리적, 기술적, 물리적 대책으로 구분할 수 있으며, 기능에 따라 예방, 탐지, 교정 통제로 나눌 수 있다.

1. 보안모델이란 무엇인가?
2. Bell-LaPadula 모델은 무엇을 보호하기 위한 모델인가?
3. Bell-LaPadula 모델의 핵심 규칙 2가지를 쓰시오.
4. No Read Up의 의미를 쓰시오.
5. No Write Down의 의미를 쓰시오.
6. Biba 모델은 무엇을 보호하기 위한 모델인가?
7. Biba 모델의 핵심 규칙 2가지를 쓰시오.
8. No Read Down의 의미를 쓰시오.
9. No Write Up의 의미를 쓰시오.
10. Bell-LaPadula와 Biba의 차이를 쓰시오.
11. Clark-Wilson 모델의 특징을 쓰시오.
12. Chinese Wall 모델이란 무엇인가?
13. 보안모델 4가지를 각각 한 줄로 정리하시오.
14. 위험관리란 무엇인가?
15. 자산이란 무엇인가?
16. 위협이란 무엇인가?
17. 취약점이란 무엇인가?
18. 위험이란 무엇인가?
19. 위협, 취약점, 위험의 차이를 쓰시오.
20. 위험관리 절차를 순서대로 쓰시오.
21. 정성적 위험분석이란 무엇인가?
22. 정량적 위험분석이란 무엇인가?
23. 정성적 분석과 정량적 분석의 차이를 쓰시오.
24. AV, EF, SLE, ARO, ALE의 의미를 각각 쓰시오.
25. SLE 계산식을 쓰시오.
26. ALE 계산식을 쓰시오.
27. 위험 처리 방법 4가지를 쓰시오.
28. 위험 감소란 무엇인가?
29. 위험 회피란 무엇인가?
30. 위험 전가란 무엇인가?
31. 위험 수용이란 무엇인가?
32. 잔여위험이란 무엇인가?
33. 관리적, 기술적, 물리적 보호대책 예시를 각각 2개씩 쓰시오.
34. 예방, 탐지, 교정 통제 예시를 각각 2개씩 쓰시오.

35. 자산 가치 AV가 1억 원이고 손실률 EF가 30%일 때 SLE는?
36. SLE가 3천만 원이고 ARO가 2일 때 ALE는?
37. 자산 가치 AV가 5억 원이고 EF가 20%, ARO가 0.5일 때 SLE와 ALE는?
38. 자산 가치 AV가 2억 원이고 EF가 50%, ARO가 0.1일 때 SLE와 ALE는?

39. 낮은 등급 사용자가 높은 등급 문서를 읽지 못하게 한다.
40. 높은 등급 사용자가 낮은 등급 문서에 비밀 정보를 쓰지 못하게 한다.
41. 높은 무결성 시스템이 검증되지 않은 낮은 무결성 데이터를 읽지 못하게 한다.
42. 일반 사용자가 회계 원장에 직접 쓰지 못하게 한다.
43. 승인된 회계 프로그램을 통해서만 거래 데이터를 변경하게 한다.
44. 한 컨설턴트가 A기업 정보를 본 후 경쟁사 B기업 정보 접근을 제한한다.
45. 해커가 미패치 웹 서버를 공격해 고객 DB를 유출할 가능성이 있다.
46. 취약한 외부 공개 서비스를 아예 폐쇄한다.
47. 사이버 보험에 가입한다.
48. MFA와 패치를 적용해 계정 탈취 위험을 줄인다.
49. 위험이 낮고 대책 비용이 너무 커서 책임자 승인 후 받아들인다.
50. 보호대책을 적용했지만 여전히 제로데이 취약점 가능성이 남아 있다.

51. Bell-LaPadula 모델과 Biba 모델의 차이를 설명하시오.

52. Clark-Wilson 모델의 특징을 설명하시오.

53. 위협, 취약점, 위험의 차이를 설명하시오.

54. 정성적 위험분석과 정량적 위험분석의 차이를 설명하시오.

55. 위험 처리 방법 4가지를 설명하시오.

56. 잔여위험의 의미와 관리 필요성을 설명하시오.

암호학
해시
전자서명
PKI
접근통제
인증
보안모델
위험관리

대칭키 vs 공개키
암호화 vs 해시
MAC vs 전자서명
DAC vs MAC vs RBAC vs ABAC
Bell-LaPadula vs Biba
정성적 분석 vs 정량적 분석
위험 감소 vs 회피 vs 전가 vs 수용

개념 정의
→ 핵심 특징
→ 예시 또는 대응 방안

위험은 위협이 취약점을 악용하여 자산에 피해를 발생시킬 가능성과 영향을 의미한다. 위험관리는 자산, 위협, 취약점을 식별하고 위험을 분석·평가한 후 감소, 회피, 전가, 수용 등의 방법으로 처리하며, 보호대책 적용 후 남는 잔여위험을 관리하는 과정이다.